Co-responsabilité RGPD : qualifier et organiser

Deux organismes qui échangent des données ne sont pas automatiquement responsables conjoints. La question est de savoir s’ils déterminent ensemble les finalités et les moyens du traitement considéré. L’accord doit ensuite correspondre au périmètre réellement partagé.

Quand l’article 26 s’applique-t-il ?

L’Art. 26(1) vise deux responsables ou plus qui déterminent conjointement les finalités et les moyens. Il impose une répartition transparente des obligations, notamment pour les droits et l’information, sauf dans la mesure où cette répartition est déjà définie par le droit applicable. Source : RGPD, Art. 26.

La CNIL distingue les décisions communes des décisions séparées mais complémentaires aboutissant à un traitement indissociable. Les contributions n’ont pas à être identiques ; l’absence d’accès de l’un aux données n’exclut pas le rôle. Source : qualification des acteurs, CNIL.

Un partenariat commercial, un outil partagé ou un intérêt économique mutuel ne suffit donc pas à conclure. Il faut analyser les opérations. Le guide du responsable de traitement donne les premières questions de qualification.

Distinguer trois relations

Si l’analyse conclut à des responsables distincts, utilisez un accord de partage adapté à cette relation. Le document ne crée toutefois pas à lui seul la base légale de la transmission.

Délimiter le traitement conjoint

Décrivez la collecte, la mise en commun, les accès, les analyses, les communications et la fin de l’activité. Pour chaque étape, indiquez qui décide et qui exécute. Une partie peut participer aux décisions d’une étape sans déterminer les usages ultérieurs de l’autre.

Conservez les faits étayant cette délimitation : cahier des charges, paramètres décidés, comptes rendus de validation, conventions et flux. Il est préférable de préciser une incertitude à résoudre que d’appliquer globalement l’Art. 26 à toute la relation.

Chaque acteur doit également examiner la licéité de sa participation et les éventuelles conditions supplémentaires pour les données concernées. L’accord n’est ni une base légale autonome ni une dispense de minimisation.

Cas pratique : deux ateliers proposent un abonnement commun

Exemple fictif. Terre Brune et Studio Faïence, deux entreprises indépendantes, proposent aux adultes un abonnement permettant de réserver des séances de poterie dans leurs deux locaux. Elles déterminent ensemble les règles d’inscription, les données du compte et le suivi des séances consommées. Elles valident également les accès du personnel et les durées du dossier commun.

Pour cette gestion, elles retiennent une responsabilité conjointe. La finalité n’est pas seulement que chacune augmente ses ventes : elles organisent un service commun dont le fonctionnement exige leurs décisions coordonnées. Les données nécessaires à l’abonnement et à la réservation sont traitées pour exécuter le contrat auquel l’abonné est partie, selon l’Art. 6(1)(b) du RGPD. Une éventuelle prospection propre à chaque atelier demanderait une analyse séparée.

Terre Brune administre l’application commune. Studio Faïence gère les réservations locales et conserve temporairement les feuilles de présence nécessaires au rapprochement. Ces différences d’exécution ne font pas du second un simple sous-traitant : il participe aux décisions sur l’objectif, les informations et les usages du dossier.

Les deux entreprises excluent de l’accord commun leur paie, leurs dossiers de fournisseurs et les fichiers des clients sans cet abonnement. Leurs obligations comptables propres sont aussi documentées séparément. Un même nom peut donc figurer dans plusieurs traitements, sans que tous soient automatiquement couverts par l’accord Art. 26.

La répartition remplie pour préparer l’accord

Cette matrice ne dispense pas de traiter les autres points pertinents, dont les transferts ou une AIPD lorsque le traitement présente un risque élevé. Elle montre surtout ce qu’une clause « chaque partie respecte le RGPD » ne permettrait pas de faire : déterminer qui recherche une feuille papier, qui vérifie sa disparition et qui répond à la personne.

L’Art. 26 n’impose pas un contrat autonome portant un titre particulier. Formaliser ces engagements dans une annexe précise permet cependant de vérifier la répartition et ses changements. Le dossier doit identifier les personnes chargées des tâches, leur suppléance et le moyen de transmettre les informations. La désignation d’un point de contact commun est possible, sans rendre ce guichet obligatoire pour l’abonné.

Une clause de coordination effectivement renseignée

Voici un extrait proposé pour ce seul cas, à intégrer dans un accord couvrant l’ensemble des obligations pertinentes :

Terre Brune coordonne les réponses relatives au dossier de l’abonnement commun. Chaque entreprise reçoit les demandes qui lui sont adressées et les transmet à l’autre sans imposer un nouvel envoi à l’abonné. Studio Faïence recherche les données détenues localement, notamment les feuilles de présence, et confirme le périmètre de sa contribution. Terre Brune vérifie que les deux recherches sont achevées avant d’annoncer une réponse complète. La coordination conserve la date de réception initiale et les actions réalisées par chaque entreprise.

Pour rendre ce circuit praticable, les ateliers choisissent une transmission interne le jour ouvré de réception et un point de suivi chaque semaine tant qu’une demande reste ouverte. Ces échéances internes ne remplacent pas les délais de l’Art. 12(3) : réponse dans les meilleurs délais, au plus tard un mois, avec prolongation motivée annoncée dans ce premier mois lorsque ses conditions sont remplies.

Le circuit doit couvrir aussi une demande urgente ou une absence du coordinateur. Une boîte partagée surveillée par les deux suppléants désignés peut convenir, à condition d’en limiter les accès et d’éviter d’y verser inutilement l’intégralité des dossiers clients.

Rendre la répartition utile aux personnes

L’Art. 26(2) impose de mettre les grandes lignes de l’accord à disposition des personnes. Il ne s’agit pas d’une simple recommandation. Le résumé doit permettre de comprendre les acteurs, le périmètre et l’organisation des obligations pertinentes.

L’Art. 26(3) permet d’exercer les droits à l’égard de chacun des responsables, indépendamment de l’accord. Un interlocuteur commun facilite le parcours ; il ne permet pas à une partie de refuser une demande au seul motif que l’autre est désignée comme pilote.

La procédure de gestion des droits dans un dossier commun organise les recherches, validations et réponses entre organismes.

L’échec : une réponse préparée sans les données du second atelier

Dans le scénario, Paul demande à Studio Faïence une copie des données de son abonnement. L’accueil lui indique d’abord qu’il doit contacter Terre Brune. Paul rappelle sa demande ; la responsable de Studio Faïence corrige cette orientation, enregistre la première date de réception et transmet au coordinateur. Le délai n’est pas recalculé à partir de cette transmission interne.

La première réponse préparée par Terre Brune contient le profil et huit réservations visibles dans l’application. La fiche de recherche comporte cependant une rubrique locale non validée. Studio Faïence retrouve deux feuilles concernant des séances déplacées manuellement, dont les observations personnelles ne figurent pas dans l’application. Le coordinateur suspend l’envoi annoncé comme complet.

Les deux ateliers examinent ces documents, en protégeant les données des autres participants sans retirer les informations nécessaires à Paul. Ils complètent la copie et les explications de l’Art. 15, puis remettent la réponse par le canal sécurisé prévu. Le dossier indique les sources consultées et les exclusions motivées. Il ne se contente pas d’une capture de l’écran du logiciel.

Si Studio Faïence refusait de contribuer, Terre Brune devrait documenter ce défaut, solliciter la direction partenaire et poursuivre les recherches possibles. Une réponse partielle devrait être présentée comme telle, avec ses motifs et les informations requises. Le désaccord commercial ne permettrait ni de promettre une copie complète ni d’imposer à Paul de recommencer toute sa démarche. C’est précisément l’utilité d’un accord opérationnel : rendre cette coopération exigible et détecter son absence.

Incident, réparation et fin de partenariat

Préparez une alerte suffisamment rapide pour permettre l’examen des Art. 33 et 34. La désignation d’un pilote ne supprime pas les obligations des autres acteurs ; elle doit produire une coopération effective et des preuves de ce qui a été transmis.

La réparation intégrale prévue à l’Art. 82(4) concerne les acteurs participant au même traitement qui sont responsables du dommage au titre des paragraphes 2 et 3. Ce n’est pas une responsabilité automatique de chaque partenaire pour tout fait de l’autre. Le paragraphe 5 organise les recours correspondant à la part de responsabilité. Source : RGPD, Art. 82.

Pour un manquement à l’Art. 26, le plafond relève de l’Art. 83(4)(a) : dix millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. D’autres manquements peuvent relever d’un autre plafond ; les critères du cas restent nécessaires.

À la sortie, vérifiez les accès et données après la fin d’un partenariat. La rupture commerciale ne supprime pas les obligations relatives aux données encore conservées.

Ce qu’il faut retenir

• Qualifiez le traitement et ses étapes, pas seulement la relation commerciale.
• L’accord répartit les tâches sans réduire les droits des personnes.
• Les grandes lignes doivent être accessibles ; le point de contact commun est facultatif.
• Préparez la coopération, les incidents et la sortie avec des responsables identifiés.

FAQ

Une base partagée suffit-elle à créer une co-responsabilité ?

Non. Il faut examiner la détermination conjointe des finalités et moyens. Un partage technique peut aussi servir des traitements distincts.

Faut-il transmettre tout l’accord aux personnes ?

L’Art. 26(2) exige ses grandes lignes. Le résumé doit être suffisamment précis pour comprendre les rôles, sans nécessairement divulguer toutes les stipulations commerciales.

Une partie peut-elle être responsable conjointe seulement pour la collecte ?

Oui, si les faits établissent une détermination conjointe limitée à cette étape. Les autres opérations doivent alors être qualifiées séparément.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.